- GuidePointは、ランサムウェア被害の現場で復旧業者を装う「Ransom Busters」を確認
- 同グループはRaaSの管理パネルをハッキングしたと主張し、2万ドル〜6万ドルで復号キーを提供すると持ちかけ
- 研究者らは、実際には感染を引き起こした攻撃者本人たちであり、真の救済者ではない可能性が高いと指摘
ランサムウェアの手口はまた新たな進化を遂げています。今回、犯罪者たちは「善玉」を装って現れました。
セキュリティ研究者らを擁するGuidePoint Securityは、複数の顧客企業がランサムウェア攻撃を受けた際のインシデント対応で招集されました。その一部の事案では、被害者側が「Ransom Busters」を名乗るグループから接触を受けていました。同グループは、攻撃者のサーバーから盗まれたファイルを削除する代わりに、有効な復号キーを提供すると持ちかけていたのです。
この申し出が怪しいと判断された理由は、攻撃者側が被害を公表する前に、Ransom Bustersが被害者に接触していた点にあります。犯人たちは、DragonForce、Settra、Anubisを含む複数のRansomware-as-a-Service(RaaS)の管理パネルに侵入したと主張しており、それにより誰が標的にされたかを把握しているだけでなく、盗まれたデータや復号キーへのアクセス権も得ていると説明していました。
結局はただのアフィリエイト
Ransom Bustersはこのサービスの対価として2万ドルから6万ドルを要求していますが、研究者らはこれ自体が偽装工作にすぎないと見ています。Ransom Bustersの正体は、これらのランサムウェアサービスのアフィリエイト(実行犯)である可能性が高いというのです。それだけでなく、そもそもこれらの企業にランサムウェアを感染させた張本人である可能性も高いとしています。
研究者らによれば、攻撃者側とRansom Busters側は同一のソフトウェア、同一の手口、そして同一の識別子を使用しており、この事実から両者は同じグループが表と裏を演じているにすぎないと結論づけられるとのことです。
幸いなことに、これまでのところRansom Bustersの申し出に対して実際に支払いをした被害者はいないようです。GuidePointが確認した唯一の支払い事例では、偽の復旧業者ではなく、本来の身代金要求そのものに対して支払いが行われていました。幸運にも、その企業名はリークサイトに掲載されておらず、ファイルは今のところ安全に保たれています。
復旧業者を装うという手口は、ランサムウェアの進化における次なる段階と言えるでしょう。
ランサムウェアは登場初期、コンピューターを暗号化し、復号キーと引き換えに金銭を要求するだけの単純なものでした。企業側が強固なバックアップ体制を構築して対抗するようになると、犯罪者側はファイルを盗み出し、それを公開すると脅す手口へと移行しました。その後まもなく、一部の攻撃者は分散型サービス妨害(DDoS)攻撃を組み合わせるようになり、バックエンドだけでなくフロントエンドも機能停止に追い込むことで、支払いを強要しようとしました。
中には、被害者に電話をかけてさらなる威嚇を行う犯罪者もいました。
近年では、暗号化ツールの利用から離れ、データ窃取のみに専念するグループが増えています。コストを抑えられる一方で、収益性は暗号化と同等に高いためです。
